Продукты компании AMD подвержены серьезной уязвимости SinkClose, которая затрагивает несколько поколений процессоров EPYC, Ryzen и Threadripper. Уязвимость позволяет злоумышленникам с привилегиями уровня ядра (Ring 0) получить привилегии Ring -2, что может использоваться для установки малвари, которую практически невозможно обнаружить.
Напомним, что Ring -2 — это один из самых высоких уровней привилегий на компьютере, который стоит выше Ring -1 (используется для гипервизоров и виртуализации) и Ring 0 — уровня привилегий, используемого ядром ОС.
В современных процессорах уровень привилегий Ring -2 связан с функцией System Management Mode (SMM). SMM управляет питанием, контролирует аппаратное обеспечение, обеспечивает безопасность и выполняет другие низкоуровневые операции, необходимые для стабильности системы. Имея высокий уровень привилегий, SMM изолирован от ОС, чтобы предотвратить возможные атаки.
Проблема SinkClose, обнаруженная специалистами компании IOActive, получила идентификатор CVE-2023-31315 и оценивается в 7,5 баллов по шкале CVSS.
Исследователи сообщают, что SinkClose оставалась незамеченной на протяжении почти 20 лет и в результате затрагивает широкий спектр моделей процессоров AMD.
Уязвимость позволяет злоумышленникам с доступом на уровне ядра (Ring 0) изменять настройки System Management Mode (SMM) даже если включена блокировка SMM (SMM Lock). В результате проблема может использоваться для отключения защитных функций и установки на устройство стойкого, практически не поддающегося обнаружению вредоносного ПО.
Так как уровень Ring -2 изолирован и «невидим» для ОС и гипервизора, такие вредоносные модификации не получится обнаружить или устранить с помощью средств защиты, работающих на уровне ОС. По словам исследователей, единственный способ обнаружить и удалить малварь, установленную с помощью SinkClose, это физически подключаться к процессорам с помощью программатора SPI Flash и сканировать память.
«Представьте себе правительственных хакеров или кого угодно, кто хочет сохранить доступ к вашей системе. Даже если вы очистите диск, [вредонос] все равно останется. Он будет почти необнаружим и практически неустраним. Только вскрытие корпуса компьютера, физическое подключение непосредственно к определенным микросхемам (с помощью аппаратного решения, известного как SPI Flash) и тщательная очистка памяти позволят удалить вредоносную программу. По сути, вам придется выбросить свой компьютер», — говорят эксперты, называя такую атаку наихудшим из возможных сценариев.
Согласно данным инженеров AMD, проблема затрагивает следующие модели процессоров (почти все процессоры AMD, выпущенные с 2006 года):
- EPYC первого, второго, третьего и четвертого поколений;
- EPYC Embedded 3000, 7002, 7003 и 9003, R1000, R2000, 5000 и 7000;
- Ryzen Embedded V1000, V2000 и V3000;
- Ryzen серий 3000, 5000, 4000, 7000 и 8000;
- Серии Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile и 7000 Mobile;
- Ryzen Threadripper серий 3000 и 7000;
- AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS);
- AMD Athlon 3000 серии Mobile (Dali, Pollock);
- AMD Instinct MI300A.
В своем бюллетене безопасности AMD сообщает, что уже подготовила исправления для десктопных и мобильных процессоров EPYC и AMD Ryzen, а исправления для встроенных процессоров появятся позже.
Как было упомянуто выше, доступ на уровне ядра является необходимым условием для осуществления атаки SinkClose. В своем сообщении представители AMD это подтвердили и подчеркнули сложность эксплуатации CVE-2023-31315 в реальных условиях. В ответ на это в IOActive заявили, что уязвимости уровня ядра, хотя и не являются широко распространенными, они существуют и не так уж редки.
Исследователи уверены, что SinkClose может представлять серьезную угрозу для организаций, использующих системы на базе AMD, особенно со стороны «правительственных» хакеров. Они договорились с AMD не публиковать каких-либо PoC-эксплоитов для SinkClose в течение нескольких месяцев, чтобы у пользователей было больше времени для исправления проблемы.
